Gouvernance de l'IA dans le secteur bancaire : 2026 Guide à la loi européenne sur l'IA, DORA, MAS et SR 26-2

Résumé : la norme de gouvernance de l'IA bancaire pour 2026¶

Le signal de supervision est clair. Plus de 85% banques sous surveillance bancaire européenne utilisent l'IA, selon un 2026 février [discours sur la supervision bancaire de la BCE] (https://www.bankingsupervision.europa.eu/press/speeches/date/2026/html/ssm.sp260224~6c5b64a77a.en.html). La BCE étend son champ d’action de l’évaluation du crédit et de la détection des fraudes à l’IA générative dans le cadre de ses 2026-28 priorities. La cartographie bancaire et des paiements de l'ABE décrit le cadre existant du secteur financier comme une base solide pour la mise en œuvre de la loi européenne sur l'IA, tout en identifiant les travaux d'intégration dans les domaines CRR, CRD, DORA, les règles de crédit à la consommation et le droit des paiements. Sources : source source

L'objectif de gouvernance est un système d'exploitation contrôlé autour de l'IA. Chaque cas d'utilisation a un propriétaire d'entreprise, une classification juridique, un propriétaire de risque responsable, des versions de modèle et de fournisseur approuvées, des données et des outils autorisés, des limites d'autorité, un plan de surveillance, un chemin d'incident, une règle de conservation et un contrat de preuves. Les cas d'utilisation agentiques ajoutent un point de décision pour chaque action proposée, car le système peut sélectionner des outils et modifier l'étape suivante pendant son exécution.

Un cadre d'entreprise unique peut soutenir de nombreux régimes lorsqu'il préserve leur portée. La banque associe chaque obligation à un objectif de contrôle, met en œuvre le contrôle une fois que les régimes s'alignent véritablement et enregistre les affirmations juridiques ou prudentielles étayées par chaque test. L'ABE elle-même prévient que son 2025 mapping est informatif et peut changer en fonction des orientations de la Commission et des normes harmonisées. Traitez la réutilisation entre cadres comme une traçabilité régie, avec des conclusions juridiques explicites.

• Inventairez le système d'IA complet. Enregistrez les modèles, l'orchestration, les agents, les outils, les données, les fournisseurs, les systèmes en aval, les rôles humains, les effets client et les juridictions.
• Classer en fonction de l'usage prévu et de l'utilisation réelle. Le même modèle peut s'intégrer à un processus de crédit à haut risque, à un assistant interne à faible impact et à un cas d'utilisation de détection de fraude exclu.
• Séparez l'assurance du cycle de vie de l'autorité d'action. La validation établit si un système est adapté à une utilisation approuvée. Les contrôles d'exécution décident si une action proposée particulière peut se poursuivre.
• Rendre la surveillance humaine opérationnelle. Nommez les réviseurs, définissez leur autorité, donnez-leur suffisamment de contexte et de temps, enregistrez leur décision motivée et testez la capacité de la file d'attente.
• Connectez la surveillance à l'intervention. La dérive, les biais, la qualité des données, la résilience, la sécurité et les signaux de conduite nécessitent des seuils, des propriétaires, des horloges de réponse, des critères de restauration et des preuves.
• Concevez des sorties tierces avant leur adoption. Enregistrez les dépendances, la concentration, l'accès aux données, les modifications de modèle, les tâches liées aux incidents, la portabilité, les opérations de secours et la prise en charge de la résiliation.

La carte réglementation × obligation × contrôle d'exécution¶

Cette carte distingue les lois contraignantes, les directives de surveillance et les références industrielles. « Contrôle d'exécution » désigne un contrôle appliqué au Processus en direct ou à une action proposée. Il complète le développement, la validation, les tests et la gouvernance du conseil d’administration de modèles.

Banque de l'UE : combiner la classification de la loi sur l'IA avec les contrôles sectoriels existants¶

Pour les banques de l'UE, la première question est l'objectif visé du système d'IA dans son processus actuel. En vertu de l'annexe III, point 5(b) de la Loi de l'UE sur l'IA, l'IA destinée à évaluer la solvabilité des personnes physiques ou à établir leur cote de crédit est répertoriée comme à haut risque, sous réserve de l'article 6 framework. Le point 5(b) exclut expressément les systèmes utilisés pour détecter la fraude financière. L'exclusion est spécifique à cette voie de classification ; la fraude, la lutte contre le blanchiment d’argent, les sanctions et les systèmes de paiement restent soumis aux obligations du secteur financier, de la confidentialité, de la résilience, de la conduite et de la sécurité.

Les banques peuvent être des fournisseurs, des déployeurs ou les deux. Une banque qui développe ou fait développer un système d’IA et le met en service sous son nom peut avoir des obligations de fournisseur. Une banque utilisant un système fournisseur sous son autorité peut être un déployeur. L'article 25 can transfère la responsabilité du fournisseur lorsqu'une partie appose son nom sur un système à haut risque, apporte une modification substantielle ou change un objectif prévu de sorte que le système devienne à haut risque. Enregistrez les faits, l'entité responsable, l'attribution du contrat, les modifications techniques et l'approbation chaque fois qu'un cas d'utilisation change.

Le Digital Omnibus on AI, règlement (UE) 2026/1744, a déplacé la date d'application à haut risque de l'annexe III au 2 décembre 2027. La date crée un délai de mise en œuvre. Il crée également un objectif fixe pour l'inventaire, l'analyse des rôles, la documentation technique, la journalisation, la surveillance humaine, les preuves d'exactitude et de robustesse, les contrôles du déployeur et les évaluations d'impact sur les droits fondamentaux (FRIA) applicables. Le hub EU AI Act suit la chronologie complète, et le worked credit-scoring FRIA affiche l'article 27 assessment pour un déployeur de banque. Le

de l'EBA du 2025 mapping de novembre indique que la législation européenne sur les banques et les paiements couvre déjà de nombreux objectifs de contrôle de la loi sur l'IA. Ses exemples couvrent la gouvernance, l’évaluation de la solvabilité, l’externalisation, les risques liés aux TIC, la protection des consommateurs et les paiements. L’ABE identifie également la nécessité d’intégrer les exigences qui se chevauchent et de coordonner les autorités. La cartographie indique expressément qu'elle est informative, qu'elle n'a aucun statut d'orientation ou d'attente en matière de surveillance et qu'elle peut changer à mesure que les orientations et les normes de la Commission se développent. Une banque doit conserver la version de cartographie juridique et la justification utilisée pour chaque version.

• Décision de crédit : classer les rôles du système, du fournisseur de documents et du déployeur, effectuer le travail FRIA applicable, valider le modèle et les données, définir l'autorité humaine, conserver les journaux, surveiller les résultats des clients et relier les plaintes à la résolution.
• Fraude et AML : enregistre l'analyse de classification, conserve le point 5(b) le raisonnement d'exclusion de fraude le cas échéant, applique les contrôles DORA et de criminalité financière, limite la clôture automatisée ou l'autorité de dépôt et conserve une lignée d'alerte reconstructible.
• Assistants client : évaluent l'transparence de l’article 50, les obligations de protection des consommateurs et de confidentialité, les limites de conseils autorisées, les contrôles d'hallucinations et de fuites de données, le transfert, la surveillance et les plaintes.
• Paiements agents : définissent le mandat, les limites de transaction et globales, les restrictions sur les destinataires et les chemins de fer, les sanctions et les contrôles de fraude, l'autorisation par étapes, le traitement des annulations et l'escalade humaine.

DORA fait de la résilience opérationnelle de l'IA une préoccupation de la direction¶

DORA a postulé auprès des entités financières couvertes depuis le 17 January 2025. L'article 5 assigdéfinit la responsabilité de l'organe de direction pour le cadre de risque TIC et exige des rôles clairs, des modalités de continuité, des plans d'audit et des connaissances en TIC. L'article 6 requireprésente un cadre de gestion des risques liés aux TIC solide, complet et documenté. Ces obligations s'appliquent lorsque l'IA prend en charge une fonction critique ou importante, dépend des fournisseurs de TIC, gère les données de production ou modifie la façon dont le service détecte, répond et récupère après une perturbation.

Les équipes de gouvernance de l'IA doivent connecter l'inventaire des modèles et des agents aux actifs TIC, aux fonctions commerciales, aux dépendances, aux incidents, aux tests et au registre tiers de DORA. Un modèle de carte à lui seul ne peut pas indiquer si un processus de crédit, de paiement ou AML se poursuit en toute sécurité en cas de panne de modèle, de sortie mal formée, de dégradation de l'API du fournisseur, d'échec de récupération, d'injection rapide ou d'expiration du délai d'attente de l'outil. Le dossier d'exploitation nécessite des effets de service, un comportement de repli, des objectifs de récupération, des résultats de tests réels et le propriétaire qui a accepté le risque résiduel.

L'IA tierce mérite une vue complète des dépendances. Enregistrez le modèle et les fournisseurs d'hébergement, les sous-traitants, les régions, les chemins de données, les droits de mise à jour, les niveaux de service, les tâches de sécurité et d'incident, l'accès à l'audit, la portabilité, le modèle de secours ou l'itinéraire manuel et le plan de sortie. La BCE met également en avant la concentration, la dépendance vis-à-vis d’un fournisseur, la confidentialité, la sécurité, la résilience et le risque de sortie de l’IA générative. Liez les obligations contractuelles aux tests et aux opérations observées afin que le registre reste utile lors d'un incident.

Attentes de la BCE et de l'ABE : responsabilité, défis et contrôle du cycle de vie¶

Le 2026 position de surveillance bancaire de la BCE est neutre sur le plan technologique et axé sur le risque. Le discours identifie les lacunes en matière de gouvernance en matière de responsabilité claire, de surveillance par la haute direction, de défi indépendant, de qualité des données spécifiques à l'IA, d'explicabilité, de gouvernance du modèle de cycle de vie, de dérive et de risque de tiers. Il nécessite des évaluations préalables à la mise en œuvre, une participation de deuxième ligne et un suivi après la mise en œuvre. Il s'agit d'exigences opérationnelles : le nom d'un comité constitue une preuve faible sans une décision approuvée, un dossier de contestation, un propriétaire d'action et une clôture vérifiée.

L'explicabilité doit servir à la personne qui prend ou révise la décision. Un validateur de modèle a besoin de méthodes, de limites, de sensibilité et d’analyse des résultats. Un agent de crédit a besoin de connaître les facteurs pertinents pour le demandeur et de pouvoir remettre en question le résultat. Un client a besoin d’une explication intelligible et d’un itinéraire réalisable pour l’examiner. L'audit interne et les superviseurs ont besoin d'un lien stable entre la version et les données du système et la décision, le résultat du contrôle, l'action humaine et l'effet en aval.

Le mappage EBA prend en charge l'intégration avec les contrôles existants. Cela renforce également la complexité des rôles et des autorités : les superviseurs financiers peuvent servir d’autorités de surveillance du marché pour certains systèmes à haut risque, tandis que les désignations nationales et autres systèmes d’IA peuvent impliquer différentes autorités. Maintenir une carte des autorités juridictionnelles et un propriétaire des changements réglementaires. Chaque incident ou changement important doit être acheminé via cette carte avant l'expiration des délais de notification.

Les recherches SR 11-7 AI mènent désormais à SR 26-2¶

Le 17 April 2026, la Réserve fédérale, l'OCC et la FDIC ont publié SR 26-2, Directives révisées sur la gestion des risques des modèles. Il annule et remplace SR 11-7 et SR 21-8. Tout 2026 policy, questionnaire du fournisseur ou carte de contrôle qui traite toujours le SR 11-7 as actuel doit être corrigé.

SR 26-2 emphadimensionne une approche basée sur les risques adaptée au profil de risque, à la taille, à la complexité et à l'utilisation du modèle de l'organisation bancaire. Les directives couvrent la gouvernance, l'inventaire, la documentation, la contestation efficace, la validation, la surveillance continue, la gestion du changement et les modèles de fournisseurs. Pour les organisations supervisées par la Réserve fédérale, la lettre indique qu'elle devrait être plus pertinente au-dessus de 30 billi$ sur l'actif total. Les directives prudentielles n’ont pas la force et l’effet de la loi, tandis que les violations de la loi et les pratiques dangereuses ou malsaines peuvent néanmoins soutenir l’action prudentielle.

La limite du champ d'application est cruciale pour un programme de gouvernance de l'IA. Note de bas de page 3 excludes modèles d'IA générative et d'IA agentique, car ils sont nouveaux et évoluent rapidement. Les principes s’appliquent aux modèles statistiques et quantitatifs traditionnels et à l’IA non générative et non agentique. La même note de bas de page indique que les pratiques de gestion des risques et de gouvernance d’une organisation bancaire devraient déterminer des contrôles appropriés pour les outils, processus et systèmes en dehors des lignes directrices.

Une banque a donc besoin de deux inventaires liés. L'inventaire des modèles applique les modèles SR 26-2 to dans le champ d'application. L’inventaire plus large des systèmes d’IA comprend les systèmes génératifs et agents, leur orchestration, leurs outils, leurs données, leur autorité, leurs fournisseurs et leurs conséquences commerciales. La banque approuve une base de gouvernance explicite pour ces systèmes hors champ d'application en termes de risque opérationnel, de sécurité de l'information, de risque de tiers, de conduite, de conformité, de confidentialité, de contrôle juridique et commercial. Un agent qui appelle un modèle de crédit peut contenir les deux couches : le modèle de crédit quantitatif peut être en SR 26-2 scope, tandis que l'orchestration générative ou agentique est exclue et régie par la détermination distincte de la banque.

Royaume-Uni et Asie : les tests supervisés deviennent une capacité de gouvernance¶

La FCA du Royaume-Uni applique son cadre existant et rassemble des preuves grâce à des tests supervisés. Sa deuxième cohorte AI Live Testing, annoncée le 21 April 2026, comprend les paiements agents, AML, Know Your Customer, des informations sur la cote de crédit, les investissements et d'autres utilisations clients et commerciales. Le service se concentre sur la gestion des risques et la surveillance en direct, avec des tests jusqu'à la fin du 2026 et un rapport d'évaluation prévu pour le premier trimestre du 2027.

La [revue du 2026 Mills juillet] de la FCA (https://www.fca.org.uk/news/press-releases/fca-publishes-landmark-review-impact-ai-retail-financial-services) ajoute une perspective consommateur. Il décrit les changements apportés aux opérations de l'entreprise, aux parcours clients, à la concurrence, à la fraude et aux cyber-risques, et rend compte de l'intérêt des consommateurs pour les outils de finances personnelles agents. Une banque britannique devrait traduire ce signal en mesures de résultats, en mesures de protection pour les clients vulnérables, en limites d'action, en traitement des plaintes, en contrôles de fraude, en surveillance et en décision enregistrée avant la mise à l'échelle. Sources : source

À Singapour, le MAS Project MindForge Operationalization Handbook est une ressource de gestion des risques de l'IA de l'industrie MAS. MAS a ensuite publié des Garanties pour la finance agentique lors de l'exécution (SAFR) et un communiqué de presse sur l'initiative de l'industrie. Ces sources traitent de la gestion des risques liés à l’IA et des garanties pour la finance agentique. Ce guide les utilise comme références de mise en œuvre. Le droit applicable et les attentes en matière de surveillance déterminent les obligations de chaque établissement. L'explication SAFR, le guide d'implémentation, la procédure pas à pas AML et le concordance entre la loi européenne sur l'IA et la FINMA présentent l'interprétation et l'approche de mise en œuvre de KLA.

Le HKMA GenA.I. Annonce Sandbox++ a ouvert des applications intersectorielles via 30 juin 2026 pour banques et autres entités réglementées. La date limite actuelle est dépassée ; la leçon durable est la discipline test. Définissez le cas d'utilisation, les entités participantes, les régulateurs concernés, les limites des données, les mesures de réussite, les hypothèses de risque, les protections des clients, les preuves techniques, la gestion des problèmes, les conditions d'arrêt et la décision de production avant l'expérimentation en direct.

Utiliser un modèle opérationnel sur les trois lignes¶

La gouvernance de l'IA bancaire devient durable lorsque la propriété suit le système jusqu'à la production. La première ligne est responsable du résultat commercial, du processus, de l'acceptation des risques, des procédures opérationnelles et de l'exécution des contrôles. La deuxième ligne définit les cadres de risque, conteste les décisions de classification et de publication, examine la surveillance et les incidents et suit les mesures correctives. L’audit interne évalue l’efficacité de la conception et du fonctionnement à l’aide de preuves indépendantes. Les équipes de gestion des risques de modèle, de sécurité des informations, de confidentialité, de conformité, de criminalité financière, de résilience, d'approvisionnement, juridiques et de résultats client contribuent en fonction du cas d'utilisation.

Créez un propriétaire de système d'IA nommé et un propriétaire de processus nommé. Le propriétaire du système gère l'inventaire, l'objectif prévu, les versions, les fournisseurs, les limites des données et des outils, la validation et la surveillance. Le propriétaire du processus est propriétaire de la décision commerciale, des rôles humains, des effets du service, de la gestion des clients et des solutions de secours. Un propriétaire de modèle ne peut pas à lui seul assumer la responsabilité d'un agent qui appelle plusieurs modèles et outils tout au long d'un parcours client.

Concevoir des contrôles autour des actions et des conséquences¶

Les niveaux de modèle restent utiles, mais les systèmes agentiques nécessitent une vue d'action. Le même agent peut rédiger un message client, récupérer des données internes, modifier une limite de crédit et initier un paiement. Chaque action revêt une autorité, une réversibilité, une matérialité financière, un effet client, une sensibilité réglementaire et une nouveauté différents. Enregistrez ces facteurs dans la politique et attribuez un résultat fermé avant l’exécution.

Un vocabulaire de résultats pratiques est le suivant : l'action de routine se déroule ; l'action se poursuit par une observation ; l'action s'arrête pour une décision humaine nommée ; l'action est bloquée. La banque décide des seuils et du pouvoir d'examen. Une approbation antérieure ne confère aucune autorité pour passer à l'étape suivante, à moins que le mandat ne le précise expressément. Ce modèle est expliqué dans le glossaire de la couche de gouvernance d'exécution et le cluster SAFR.

Le contrat de preuve d'exécution minimale¶

Un contrat de preuves définit ce que le processus doit enregistrer avant qu'une action consécutive puisse se terminer. Il prend en charge les enquêtes, l'examen des clients, la surveillance des modèles, la résilience, l'audit et la réponse réglementaire. Le dossier doit être structuré, consultable, contrôlé en matière de conservation et protégé contre toute altération non détectée. Le glossaire de lignée inviolable explique la propriété d'intégrité, et la page produit d'exécution-lineage montre le concept du produit.

• Identité et propriété : Identité du système d'IA, de l'agent ou du service, version, locataire ou entité juridique, propriétaire de l'entreprise, propriétaire du processus et identité humaine agissante le cas échéant.
• Autorité : mandat, actions et outils autorisés, limite de données, limites de transaction ou d'exposition, fenêtre de validité, exigence de séparation des tâches et version de la politique.
• Proposition : type d'action, paramètres, cible, contexte matériel, provenance des entrées, versions du modèle et de l'orchestration et incertitude pertinente.
• Décision : règles applicables, raisons lisibles par machine, autoriser, avertir, require_approval ou bloquer le résultat, l'horodatage, la latence et toute dépendance ayant échoué.
• Contrôle humain : Decision Request, rôle et autorité de l'examinateur, contexte affiché, approbation ou refus du résultat, justification, modifications et temps écoulé.
• Exécution : demande et réponse en aval, changement d'état, résultat commercial, erreur, annulation, restauration et statut de rapprochement.
• Assurance : surveillance des signaux, des échantillons, des dépassements de seuil, des plaintes, des incidents, des enquêtes, des mesures correctives, des nouveaux tests et de l'autorité de fermeture.
• Intégrité et conservation : enregistrement en annexe uniquement, exportation vérifiable, historique des accès, base de conservation, conservation légale, suppression ou expiration et résultat de vérification indépendant.

Une feuille de route de mise en œuvre de 365 jours¶

Séquencez le programme autour d'un processus complet, puis réutilisez le modèle de contrôle testé. Un vaste inventaire sans preuves opérationnelles donne aux dirigeants une vision faible du risque résiduel. Un projet pilote restreint sans inventaire d’entreprise laisse les systèmes non gérés en dehors du cadre. Exécutez l'inventaire et le premier processus gouverné en parallèle.

Comment KLA mappe le modèle opérationnel aux contrôles d'exécution¶

KLA Control Plane fournit une couche de contrôle et de preuves pour les processus d'agent IA gouvernés. Agent Registry enregistre le système actif et le propriétaire. Policy Builder contient des règles versionnées et des contraintes d'autorité. Le KLA Policy Engine renvoie l'une des quatre décisions suivantes : allow, warn, require_approval ou block. require_approval crée un Decision Request pour un réviseur nommé et autorisé sur le Decision Desk. La piste d'audit et les Lineage Record relient l'action, la politique, la décision, l'intervention humaine et le résultat de l'exécution. Sealed Evidence Bundles prennent en charge la vérification de l'intégrité hors ligne.

La cartographie des produits ne décide pas de la classification juridique d'une banque, de son appétit pour le risque, de ses obligations de surveillance ou de sa politique finale. La banque définit le mandat, les règles, les seuils, les réviseurs, la rétention et les limites de déploiement. Chaque cas d'utilisation doit être connecté au chemin d'exécution gouverné et testé dans son environnement réel avant que l'enregistrement d'exécution ne soutienne une affirmation d'efficacité opérationnelle.

Commencez par la solution de services financiers, examinez policy-as-code, inspectez l'Evidence Room sample et utilisez Control Mapping pour connecter les contrôles aux obligations du cadre. Le guide régissant la lutte contre le blanchiment d'argent et les agents de paiement couvre le processus de criminalité financière en détail. Pour un processus ciblé, réserver un briefing.

Sources primaires et limites de statut¶

Ces principales sources réglementaires et juridiques prennent en charge les dates légales, les déclarations de portée, les signaux de surveillance et les programmes de test de ce guide. Vérifiez-les à nouveau pour les mises à jour avant une décision de gouvernance ou juridique.

• Union européenne : Règlement (UE) 2024/1689, EU AI Act ; Règlement (UE) 2026/1744, Omnibus numérique sur l'IA ; Règlement (UE) 2022/2554, DORA.
• Supervision bancaire de la BCE : La technologie est neutre, la gouvernance ne l'est pas : adoption de l'IA dans le secteur bancaire, 24 February 2026 ; Priorités de surveillance 2026-28.
• Autorité bancaire européenne : Loi sur l'IA : implications pour le secteur bancaire et des paiements de l'UE, 21 November 2025. L’ABE déclare que la cartographie est informative et n’a pas le statut d’orientation, d’attentes en matière de surveillance, de position juridique ou de conseil.
• États-Unis : SR 26-2, Directives révisées sur la gestion des risques des modèles et sa pièce jointe, 17 April 2026.
• Royaume-Uni : deuxième cohorte FCA AI Live Testing, 21 April 2026 ; Mills Review sur l'IA dans les services financiers de détail, 6 July 2026.
• Singapour : MAS Project MindForge et le Manuel d'opérationnalisation de la gestion des risques liés à l'IA ; Garanties pour Agentic Finance at Runtime (SAFR) et le communiqué de presse MAS sur SAFR. Ce guide les cite comme ressources de mise en œuvre de l'industrie MAS. La loi applicable et les attentes en matière de surveillance déterminent le statut réglementaire et les obligations de conformité.
• Hong Kong : HKMA GenA.I. Annonce Sandbox++, 5 March 2026.
• Comité de Bâle : Digitalisation de la finance, mai 2024, y compris les pratiques de gestion des risques GenAI observées ; Gestion des risques TIC : éventail de pratiques, 2 June 2026.